PESI

PLAN ESTRATEGICO DE SEGURIDAD DE LA INFORMACION PESI-ISO 27001-2022 y PCI DSS 4.0.1

Este capítulo explica la metodología utilizada para desarrollar el documento Plan estratégico de Seguridad de la información PESI, como el documento que expone el diagnóstico realizado y los proyectos dentro de un marco temporal.

A continuación, se presenta el esquema metodológico recorrido para lograr desarrollar el PESI:

elaboración de plantillas: en esta fase inicial de la construcción del documento PESI se define la estructura documental de los entregables del proyecto y también se consideran las metodologías que se utilizarán.

Entrevistas: se solicita la información que servirá de insumo para construir el PESI, con base en la identificación de las necesidades de información relacionadas con cada una de las fases para de construcción, con lo cual se constituye la línea base del entendimiento y comprensión del funcionamiento de la organización.

Solicitud de Información: se solicita la información que servirá de insumo para construir el PESI, con base en la identificación de las necesidades de información con lo cual se establece la línea base del entendimiento y comprensión del cumplimiento en seguridad de la información.

Consolidación de la información: en esta fase del documento PESI se agrupan todas las vulnerabilidades o debilidades encontradas para que más adelante se puedan establecer los proyectos.

Situación actual: conforme a lo establecido en el anexo de especificaciones técnicas de este contrato se realiza el análisis de situación actual o diagnostico el cual será utilizado en etapas posteriores para la construcción de la hoja de ruta.

Construcción hoja de proyectos: en esta etapa con base en la información suministrada por medio de las entrevistas y los insumos solicitados se procede a la construcción del catálogo de proyectos con su respectiva priorización.

Construcción hoja de ruta: en este paso, con base en los proyectos definidos estos se estructuran considerando su costo y el tiempo requerido de implementación.

Elaboración documento final: una vez realizadas todas las labores expuestas anteriormente se procede a ensamblar el documento PESI con base en los dos hitos principales de diagnóstico y de proyección de iniciativas. Este documento tendrá un control de versiones y su respectiva codificación. En lo que sigue de este documento se expondrán con más detalles estas fases aquí presentadas.

OBJETIVOS 

Determinar las cuestiones internas y externas en el ámbito de la seguridad y privacidad de la información que son pertinentes para determinada compañía y esto corresponde al objetivo general del proyecto PESI. Se propone una tabla de contenido y en paralelo una metodología que apoye el proceso de construcción de un PESI.

MARCO NORMATIVO

Este apartado de la metodología corresponde a lo que normalmente llamamos normograma el cual es una herramienta de las organizaciones públicas y privadas que permite delimitar las normas que regulan sus actuaciones en desarrollo con su objeto misional. Contiene normas externas como leyes, decretos, acuerdos, circulares y resoluciones que afectan la gestión de una organización. Este capitulo es parte fundamental del PESI ya que nos muestra el entorno legal en que los proyectos serán propuestos, obviamente teniendo como lineamientos esta normatividad.

ENTENDIMIENTO ESTRATÉGICO

Se pretende en esta etapa de la metodología entender las estrategias existentes que guían la organización. Se debe conocer la estrategia general de las organizaciones, cuáles son sus partes interesadas y que lineamientos gubernamentales o de otro tipo rigen su operación. En la siguiente figura se muestran los aspectos mínimos que deben ser considerados:

 ANALISIS DE SITUACION ACTUAL

En este capítulo se abordará lo referente a la situación actual y el estado de madurez con respecto a la seguridad de la información y la protección de datos personales en la organización, es decir, a nivel institucional. Para ellos se tendrá en consideración como etapas del análisis la evaluación de la situación actual de seguridad de la información, el informe de análisis y comprensión de hallazgos, tendencias tecnológicas en seguridad digital y finalmente las oportunidades de mejora:

Entorno de la organización: en esta fase inicial de la construcción del documento PESI se analiza el entorno económico y social de la organización

Partes interesadas: en esta fase se determinan los mayores interesados en los resultados de la implementación del PESI.

Reglamentos: en esta fase se analiza el normograma para entender su impacto para la organización.

Restricción operaciones: se solicita la información que servirá de insumo para construir el PESI, con base en la identificación de las restricciones operativas que puedan existir.

Riesgos y amenazas: en esta fase se determina el entorno de riesgos y amenazas existentes que puede impactar a la organización.

Alcance del proyecto: finalmente se determina el alcance del proyecto con base en lo anteriormente expuesto.

METODOLOGIA SABSA PARA EL PESI

Cubo PESI: Comprende los puntos que deben ser considerado en el proceso.

ANALISIS DOFA

En la construcción del PESI se requiere analizar las debilidades, fortalezas, oportunidad y amenazas del área de seguridad de la información de la con el fin de elaborar estrategias que maximicen las fortalezas y disminuyan las amenazas, comprendiendo claramente las debilidades que hoy en día se tienen en la protección de la información y las oportunidades concernientes al uso de las tecnologías emergentes y disruptivas que posibilites el logro de los objetivos estratégicos de la organización.

PROYECCION PRESUPUESTAL

Una vez realizado el proceso de priorización se pasa a la siguiente etapa que es la proyección presupuestal teniendo en cuenta los costos asociados y aproximados a cada proyecto con el fin de que la organización pueda realizar la asignación presupuestal para luego proceder a la adquisición o compra de los productos o servicios requeridos para implementar las estrategias del PESI. En esta etapa también se consideran los gastos operativos con la relación a seguridad de la información y la protección de los datos personales.

PLAN MAESTRO Y HOJA DE RUTA

Una hoja de ruta es una guía visual que describe el camino para lograr objetivos específicos. Le ayuda a ver el panorama general mientras desglosa los pasos necesarios para alcanzar sus objetivos. Ya sea que esté trabajando en un proyecto, lanzando un producto o planificando estrategias a largo plazo, una hoja de ruta hace que sea más fácil mantenerse organizado y focalizado.

La salida principal del proceso de ejecución del PESI es la hoja de ruta que expone los proyectos que deben ser ejecutados una vez realizada la proyección presupuestal. En la siguiente figura se muestra un ejemplo de un formato utilizado para seguimiento de proyectos: